La checklist per il fornitore
Chieda a ogni fornitore di IA questi punti:
- Esiste un contratto di elaborazione dei dati per conto terzi ai sensi dell'articolo 28 del GDPR?
- Dove vengono archiviati i dati e quali sub-responsabili del trattamento esistono?
- I dati dei clienti vengono utilizzati per addestrare modelli di IA?
- Come vengono protetti i dati di accesso e i campi riservati?
- Chi nel team vede cosa e si può impostare per ogni persona?
- Viene registrato cosa ha fatto l'IA?
Diritti di accesso: l'IA non deve mostrare più di quanto possa vedere una persona
Un punto spesso trascurato: un'IA che sa tutto può accidentalmente fornire informazioni a persone che non dovrebbero vederle. Pertanto, le risposte dell'IA devono essere soggette agli stessi diritti della persona che interroga. Compiti personali, calendari privati e caselle di posta altrui non devono far parte della risposta ai colleghi.
Cosa richiede in aggiunta l'EU AI Act
Da febbraio 2025, le aziende che utilizzano l'IA devono garantire un'adeguata competenza IA dei propri dipendenti (articolo 4). Chi comunica con le persone tramite un'IA deve dichiararlo (articolo 50). Per i sistemi ad alto rischio si applica una supervisione umana efficace (articolo 14).
Regno Unito, USA e Canada
Nel Regno Unito si applica il UK GDPR con principi molto simili. Negli USA non esiste una legge federale uniforme, ma leggi statali come il California Consumer Privacy Act. In Canada, il PIPEDA regola la gestione dei dati personali nel settore privato. La checklist sopra è un buon punto di partenza ovunque.
Chi fa cosa?
AIRIS prepara
- Conservazione dei dati nell'UE: Il database si trova a Francoforte, i file in data center nell'UE. I dati dei clienti non vengono utilizzati per addestrare modelli di IA.
- I diritti valgono anche per AIRIS: AIRIS mostra a ciascuno solo ciò che è autorizzato a vedere. I compiti e i calendari sono personali, le caselle di posta appartengono a una sola azienda.
- Registro e autorizzazioni: Ciò che AIRIS fa viene registrato. Quanto autonomamente opera, lo decide Lei per ogni attività.
- Competenza IA secondo l'EU AI Act: Formazione con certificato per il Suo team.
Lei decide
- Quali dati inserire in un sistema IA è una decisione dell'azienda, non del fornitore.
- Categorie particolari come i dati sanitari richiedono una valutazione separata.
- Questa guida non sostituisce una consulenza legale.
